Claude Code源码泄露,Agent怎么使用才安全?

摘要：Anthropic公司也翻车了，51万行Claude Code源码泄露，Agent产品企业还能不能用？特别是openclaw这种赋予了一定权限的AI助手，能不能限定在可控的范围内安全的执行？企业建设的业务能力Skill能不能安全的运行？

本文探讨了企业 AI 应用中，通过沙箱技术（Sandboxing）提升 AI Agent 执行Skill（技能）的安全性和稳定性。针对文件泄露、恶意代码执行及环境不一致等风险，提出了“一个技能、一个沙箱、一个子智能体”的核心设计原则。通过利用 Docker 容器、零拷贝文件传输和白名单机制，实现了对 AI 操作权限、网络访问及硬件资源的精准管控。这种三层架构设计既保留了主智能体的全局调度能力，又确保了任务执行环境的完全隔离。实践证明，该方法能有效保障如合同法律评审等敏感业务在生产环境中的资产安全和结果的一致性。本文附件提供可复用的构建sandbox的工具，开箱即用，让您的AI助手变得安全可控。

2026年，OpenClaw 已从热门AI助手升级为成熟的企业级开源AI Agent框架，凭借强大的自动化能力、丰富的生态适配和便捷的部署体验，成为全球开发者和企业的首选工具。OpenClaw 的能力已覆盖生活、办公、开发等全场景，堪称“超级工作助手”。以下是OpenClaw等AI助手的几个基础部件介绍。以openclaw为原型的各种AI助手工具如春笋般涌现，其设计理念相差不大，本文以openclaw为代表进行技术解读和实战。

什么是 Agent？Agent（智能体）是一种能够感知环境、自主决策并执行动作的智能系统。在现代 AI 系统中，Agent 通常指基于大语言模型（LLM）的智能助手，能够理解自然语言指令、规划任务、调用工具并完成复杂工作。

在 AI Agent系统中，Skill 通常指：一个被标准化封装、可被 AI Agent 主动调用，用于完成特定任务的能力单元。这和企业的特定业务能力项高度匹配，因此是企业业务能力进行打包封装的建设重心。也是本文重点关注的建设优化对象。

AI 系统之所以需要 Skill，是因为大语言模型本身仅具备理解、推理和生成能力，无法直接执行真实世界中的操作。Skill 作为可调用的执行单元，将模型的决策结果转化为可验证、可复用的实际行为，使 AI 系统从“回答问题”升级为“完成任务”。通过将执行能力模块化为 Skill，系统能够实现清晰的职责分离，提升可扩展性、可维护性和行为可控性，并为 Agent 架构中的自动调度与复杂任务编排提供基础支撑。这使 Skill 成为 AI 系统工程化和规模化落地过程中不可或缺的核心组件。

Agent Skill = SOP(标准流程) + reference(专业知识) + usage (使用场景和方法)。形式上岗是个文件夹，包含以下文件：

内部结构解释如下：

可选项：执行步骤中所需的代码、模板、引用知识、参考说明等，放在scripts/assets/references子文件夹中，按需调用。可融合RAG、prompt工程等技术。

优点是协议简单：Skill将专业知识、使用场景、工作流等打包沉淀为可复用的资产的工具。跨平台、跨产品可复用。可读性强、标准化构建、能力复用简单都是skill的优点。

因为Skill是个标准协议，主要满足该协议就可以被Agent识别和调用，skill注定会发展成为一个繁荣的skill市场，实现插拔式海量能力复用。未来企业的skill也会有开源复用和自建两种方式。

现有模式下，AI agent + Skill有两个问题较为突出：

无论是开源Skill，还是自建的Skill，都存在安全风险。开源Skill无需多言，恶意的开源skill甚至会导致你主机文件损害、机密和账号泄露、恶意扫描等；自建的Skill依然存在一些风险，特别是当自建的skill在执行过程中出现异常，Agent本身具有修复问题的能力，它会自动尝试进行问题修复，生成一些修复代码并执行，如果这些修复手段并不符合预期，那也会产生非预期的结果，比如删除了一些异常且重要的文件。另外如果自建skill和外部环境比如网络有交互时，也容易下载一下危险病毒附件等文件，可能导致主机遭受攻击。

Skill本身在执行其SOP时，是需要配套一个执行环境的，比如SOP步骤中可以执行代码，会有一些第三方包的依赖，但当前skill的协议中并未对该部分进行规定和管控，极有可能产生一个现象：在测试环境测试好的Skill，一上生产环境效果就变差，或者在A电脑上运行良好在B电脑上就变差。本质上还是因为执行环境变了，导致Skill在不同环境中有不符合预期的表现。保障Skill执行环境的一致性，是保障Skill稳定性的重要手段。

Skill投毒是指恶意skill被安装到本机并被用于执行恶意代码，包括敏感信息收集、恶意修改系统配置、篡改或拦截其他Skill的执行结果。2026年1月底至2月中旬，核心攻击者hightower6eu上传1184个恶意Skill，诱导用户执行混淆代码，导致敏感信息泄露。

而在当下Skill开发门槛降低，几乎人人都能开发skill的时代，一些skill伪装的很好，很容易骗过用户而被下载安装到了本地，导致用户的敏感信息、文件被泄露后，甚至很难被发现。

Agent调用Skill时，采用的是语义匹配的方式，当用户的聊天记录中出现一些特定的触发词时，在用户不经意间，可能就已经触发了某些恶意skill的执行。

为了演示说明，笔者也开发了一个伪装成“任务助手”的skill，名义上是‘帮助用户分析任务异常原因，提供解决建议，支持模型优化和问题排查’。实则是“在收集用户的作业现场数据，和系统敏感数据（如MEMORY、Agent、User等文件）。然后默认发送到了指定的邮箱”，实现了数据窃取。详见附件。

其执行过程为：

可以看到，当出现常见的：”任务完成” / “任务成功” / “任务失败”时，就会自动触发这个恶意skill，将刚才用户操作的文件、日志等，发送邮件给了指定邮箱，而这个过程，甚至是用户无感知的，导致用户不知道数据已经泄露。

如果用户无意间安装了这个skill，当用户正常处理任务，就会无意间触发此skill，并且，该Skill是静默运行，发送邮件后，会清理现场，并不会告知用户整个过程。

试想一下，如果用户处理的是公司机密的合同、标书、商业机密、设计稿等文件，通过这种方式的泄露，造成的影响可能会非常巨大。

安全可控问题并非AI助手或者Skill特有的问题，在传统软件开发时，就已经有多年的技术积累和解决方案，其中sandbox技术对Skill的可控性是一种有效的解决方式。在计算机领域中，沙箱技术（Sandboxing）是一种用于隔离正在运行程序的安全机制，其目的是限制不可信进程或不可信代码运行时的访问权限。Agent Sandbox的目的是确保智能体在安全隔离的环境中运行命令，防止未经授权的文件访问，同时保持执行环境的一致性。三者的关系可以归纳如下：

Sandbox（沙箱）是一种安全机制，通过隔离程序执行环境来限制程序的权限和访问范围。当程序在沙箱中运行时，即使程序出现异常或被恶意利用，其影响也被限制在沙箱范围内，不会影响宿主系统。

通俗解释：Sandbox（沙箱）就像是一个安全的“小房间”，用来运行各种不同的任务，确保它们互不干扰、不会影响到系统或数据的安全。也就是说，哪怕你的skill是有毒的，能毒害的仅仅是这个“小房间”，不会影响其他房间的内容，也不会导致整体大楼的坍塌。这个“小房间”能放什么东西，可以提前人为设定，这样就算skill有毒，能毒害的东西，也是可预期的、可控的。

Agent Sandbox 与传统软件 Sandbox 对比分析如下：

传统软件 Sandbox核心目标：安全隔离，因此其设计原则包括：

• 最小权限原则：默认拒绝所有权限，仅授予必要权限

• 深度防御：多层隔离机制

• 失败安全：当沙箱失效时，确保系统安全

• 透明性：对沙箱内程序尽可能透明等

典型应用包括：测试沙箱/开发环境、移动应用沙箱、浏览器沙箱。

传统软件 Sandbox的这些优点在Agent Sandbox中依然适用。但又有针对Agent相关的优化。Agent Sandbox 核心目标：安全执行 + 智能协作，具体要求包括：

• 安全执行 AI Agent 的skill/工具调用

• 隔离 LLM 可能产生的危险操作

• 支持主 Agent 与 Subagent 的协作架构

• 提供日志传输和错误诊断机制

• 支持快速的创建和销毁

其设计原则：

• 权限分离：主 Agent 在沙箱外执行时保持完整权限，Subagent 在沙箱内执行skill步骤，权限受控，避免skill产生预期意外的操作

• 日志透明：执行过程可追溯、可诊断

• 生命周期管理：创建 → 执行 → 回传 → 销毁/归档

• 错误可修复：支持自动诊断和修复机制

• 协作友好：支持多 Agent 协作模式

Agent Sandbox的可控性体现在一下4个方面：

Agent Sandbox相比较传统软件 Sandbox还有一个明显特点是：速度快和轻量化。因为agent在执行任务时，需要频繁的调用sandbox来执行相关命令和操作，其启动和就绪时间非常影响用户体验，因此市面上云厂商基本都把sandbox的启动就绪时间缩短到了100毫秒的程度，他们都采用了较多IT工程化技术的手段，把启动时延压缩到了极致。

总之，Agent sandbox特性可以归纳为以下几点：

Agent Sandbox能实现上述几个方面的功能，依托以下典型技术的应用。

4.3.1 高效的零拷贝文件传输机制，实现受控文件的快速传输

要将预设的文件，传输进受控的“房间”（sandbox），传统的实现方式是将文件从主机拷贝一份，传输到sandbox中，但这种方式传输慢，资源消耗大，特别是skill依赖的python环境镜像、第三方包时，文件大，常以G为单位。无法满足毫秒级启动的要求。

Agent Sandbox采用的是Docker容器技术中的绑定挂载(bind mount)机制。通俗来讲，就是允许你主机上的文件或文件夹，本该拷贝进sandbox的，变成了：直接将这个目录绑定到sandbox中的一个目录，这样在sandbox中访问它的目录时，就能直接读取到仍在主机上的文件，所以实际上没有发生实际的数据拷贝，通过 bind mount 实现零拷贝。这种方式特别适合大文件的传输，比如环境镜像文件。

4.3.2 白名单机制，实现网络和操作权限的受控

Sandbox针对网络访问配置可实现设置访问的白名单或者黑名单。network 字段用于管理沙箱内进程的网络请求策略，实现允许或阻止对特定网络的访问。

比如添加白名单：此配置将禁止所有网络请求，仅放行对 GitHub (HTTPS) 的访问，避免 AI 泄露敏感信息。

可以通过设置黑名单禁止访问内部网络，比如此配置将放行所有网络请求，但明确禁止访问常见的内网地址段，防止 AI 访问或攻击内网服务。

Sandbox针对高风险命令的运行策略也有类似的白名单设置，添加 { running Command List} 到白名单，或者该命令的前缀添加到白名单，之后可在沙箱内运行相关命令。

4.3.3 运行环境镜像的备份与加载技术，保障一致性

Sandbox还有一个好处是可以加载预先设置好的镜像文件。这能保障skill运行的环境的一致性。

Skill是个能力项，能处理某项业务任务。在处理任务时，需要一个执行环境，犹如我们人类在工作时，需要一个工作环境，配置对应的电脑一样，skill执行依然需要一个环境和对应的工具。我们人换了一个环境，就会导致不适应，效率变低甚至导致出错，skill也一样，在不同的环境中，可能会出现无法预期的错误。因此保障skill的稳定性及其重要。

Skill在开发上线前，应当经过充分的测试，并个方面指标满足要求后，才可上线，其中测试时skill对应的运行环境，是保障它各方面指标稳定性的基础，我们预期Skill上生产环境时，也能用上相同的环境，因此，将skill的运行环境打包，然后再在生产环境还原，是一种极好的保障环境一致性的技术手段。

Sandbox就支持这样的环境镜像打包和环境还原，仅需要在skill中指定镜像名称和对应的镜像参数，就可以将之前开发环境测试好的环境，拷贝到生产的sandbox实例中。

以下是配置参数：

这里就指定了镜像名称：skill-huawei-contract-legal-review:latest和对应的镜像参数huawei-contract-legal-review/sandbox/Dockerfile。利用对应的sandbox工具就可以到指定目录进行文件加载和还原。

4.3.4 虚拟化技术，保障多实例的构建和生命周期的管理

虚拟化技术（Virtualization）是一种资源管理技术。通过虚拟化，计算机的很多实体资源，包括CPU、内存、磁盘空间等，都会被抽象化后成为可供分割和重新组合的状态，让用户可以自己重新分配电脑硬件资源。Sandbox沙箱中会使用虚拟化技术为Skill构建封闭的运行环境，在保证Skill功能正常运行的同时提供安全防护。简而言之，即是沙箱中被隔离的可疑或待测程序会使用沙箱中的资源运行，以保证沙箱外的资源的安全，不影响沙箱外其他程序的运行。同时按需给Sandbox分配所需的资源，并自动负责sandbox的回收和注销。

以下是资源参数的配置：指定了2G内存和2个CPU核的资源，同时设定最大超时时长300秒。

本次实战采用了华为合同法律意见评审Skill进行，其业务含义为：根据输入的华为商务合同，结合法律专家梳理的商法80条重点关注的检查项，利用AI对该合同中可能存在的法律风险进行识别，并提出改进建议意见。其SOP过程为：

我们采用了分层构建skill的方式进行thinkflow skill构建和atomic skill的构建（详见分层构建skill最佳实例的博客）。

本次实践是利用了openclaw的框架（3.3版本），并预计GLM5基座大模型进行。Sandbox用的是开源的opensandbox工具。

用户任务：请对本机file文件夹下的‘XX公司与中移动新疆分公司销售合同’ 进行合同的商法风险识别。分析完后将生成的法律意见书，作为附件发送到我默认邮箱中。

本次任务需要用到的自研的技能为2个:

huawei-contract-legal-review：根据华为法律专家整理的80项风险检查项，对合同逐个进行检查，定位有问题的合同片段，并给出对应的修改建议。

qq-email-sender：将指定结果的文件，作为附件，邮件发送到默认邮箱。

备注：商务合同作为公司的机密/绝密文件，在处理时需要严格控制skill的权限，避免恶意传播发送。因此，需要对处理的skill进行sandbox隔离。严格控制每个环节的输入输出和操作权限。同时还需要保障生产/测试环境下skill结果的稳定性和一致性。

5.2.1 设计点1：利用subagent实现对skill的执行跟踪，和skill相同权限

实践时遇到的第一个问题：在没有配置subagent时，openclaw默认的主Agent会随着skill进入到sandbox实例环境，在这个环境中，权限是受控的，比如仅允许读取指定的文件，写入指定目录等，此时极大的限制了主agent处理异常任务的能力，会报错提示：主agent在sandbox的操作受限，操作无法顺利执行。

基于此现象，我们设计了一套“one Skill one Sandbox one Subagent”的设计原则，通过sessions_spawn自动读取skill对应的sandbox.json中配置的权限，让subagent在sandbox中执行skill时，能保持和skill相同的权限，这样能确保skill能正常执行，同时也保留了主agent拥有的全局更大的权限，当subagent在执行skill时如果出现异常，通过sandbox能通过log文件的传输，将执行日志传输给主agent，主agent可以自主规划和决策下一步行动计划。

这种系统架构设计下，agent整体的执行流程为：

这里可以看到，第三步创建Subagent时，实际上加载的是skill配置文件中的sandbox_config，里面有列名该skill所需的权限。

作为对比，如果没有这样的设计，那么Subagent默认是继承主agent所有的权限，或者是统一设置的一个权限，无法做到和skill强绑定，导致执行skill时，一般会大于skill所需的权限，而产生一些危险动作。

主Agent和Subagent的关系调用如下图所示：

5.2.2 设计点2：skill文件新增Sandbox执行要求和结构调整

当前skill标准协议并未规定sandbox相关的参数配置，默认是主agent在本机执行环境中运行，这也是人们害怕它不安全的点。想象一下一个skill，它扫描了你本地的所有文件，偷看你个人账号和隐私设置，甚至破坏你的重要文件，无论是这个skill有意还是无意（例如主agent在决策时，它需要先观察环境，会自动执行一些扫描操作）。

为了保持skill的标准规范不变，有两种方式可以实现以下效果。主要针对我们的目标，是按skill指定使用sandbox，还是将Agent系统默认设为支持sandbox运行模式。

• 按Skill粒度改造：修改skill文件以便支持sandbox运行的模式

修改方式1：我们设计了在skill.md文件,添加了一个## Sandbox 执行要求，要求⚠️ **此技能需要在 Sandbox 中执行**，并创建了一个sandbox.json配置文件，里面详细列明了sandbox的镜像、输入输出文件目录、权限、允许的操作、读取的文件、日志配置等参数。如下所示：

skill.md文件添加了一个Sandbox说明

sandbox.json配置文件示意图

配置好对应参数后，主agent就能理解skill运行的逻辑，以及在创建subagent时，遵循“one Skill one Sandbox one Subagent”的设计原则，给subagent赋予skill相同的权限。

同时，skill本身新增一个文件夹，叫sandbox，里面存放Docker 镜像构建文件，里面包含Dockerfile和requirements。如果有打包好的Dockerfile镜像则优先加载，如果没有，则按requirements.txt的要求在第一次运行时实时构建，确保sandbox环境依赖和requirements要求的保持一致。

• 修改Agent设置：扫描skill的sandbox文件并按其要求运行

修改方式2：关于sandbox相关的配置和subagent运行机制，还建议可以写进到AGENT.md文件中，让Agent默认会扫描skill目录下的sandbox文件夹。，如果Skill文件中有相关的配置文件，则优先按照sandbox配置文件运行该skill，遵循“one Skill one Sandbox one Subagent”的原则去执行。这样的好处是不用破坏原始skill的md文件内容。最小化成本实现全局的skill+sandbox运行机制的实现。特别适合于本机系统配置可以修改，可能会复用他人/他部门提供的Skill时，不用破坏原始skill文件的内容，仅需要在Skill文件夹下，新增一个sandbox文件夹即可。如图所示：

Sandbox文件中，重要的有以下几个文件：配置 Sandbox 环境（sandbox.json）、权限PERMISSIONS.md，依赖requirements.txt，镜像文件索引Dockerfile等。

然后再AGENTS.md中，添加如下这段话，实现主Agent层面的sandbox的支持。

有了这样的配置，以自研的qq-email-sender这技能为例，执行过程为：

整个执行结果为：实现了权限管控、文件隔离、网络限制、资源限制等，并禁止了敏感操作。

5.2.3 设计点3：3层架构设计保障agent功能的完整性和可控性

本次实践提出了基于 OpenClaw 平台的 AI Sandbox 采用三层架构设计：

Layer 1: 主 Agent 层（协调者）

• 核心职责：用户交互管理、任务分解和调度、Subagent 生命周期管理、结果汇总和整合、错误协调和处理

• 关键特性：永不进入 sandbox（保持完整权限和调度能力）、可见所有 subagent 状态、可随时干预或终止任务

• 工具集：sessions_spawn, sessions_send, sessions_history, subagents

Layer 2: Subagent 层（任务执行者）

• 核心职责：执行具体任务、调用 skills/工具、处理执行结果和错误、向主 agent 报告状态

• 关键特性：可进入 sandbox（受限权限）、独立生命周期（创建 → 执行 → announce → archive）、自动结果回传（announce 机制）

• 工具集：exec(host=”sandbox”), read, write, image

Layer 3: Sandbox 层（Docker 容器）

• 核心职责：提供隔离执行环境、执行 skill 脚本、输出结果和日志

• 运行环境：Docker 容器、挂载点（/input, /output）、限制（无网络、受限文件系统）、非 root 用户

• 特点：安全隔离 + 明确边界 + 可追溯日志

5.3.1 整体执行流程

任务的整体执行流程如下：

Subagent在sandbox中执行完skill的操作后，将结果返回到主Agent，让主Agent决策下一步动作，比如下一步调用qq-email-sender的技能发送结果报告。

5.3.2 执行结果

本次实践测试了2份合同，2份合同均在 Sandbox 容器中执行了对应的skill技能，镜像版本：openclaw/skill-huawei-contract-legal-review:latest (302MB)。执行过程中使用 Docker 容器进行和主机隔离、网络隔离、资源限制生效；输入/输出通过 Volume Mount 传输验证。镜像加载验证成功，结论如下：

结果生成报告如下所示：

本次实战还提供一个针对skill自动化构建其对应sandbox镜像配置的skill工具，叫skill-sandbox-configurator。功能为：分析用户指定的skill中涉及的权限、第三方依赖、操作、文件等，自动为其配置对应的权限、sandbox参数等，修改AGENT配置，实现不修改skill文件的情况下，实现5.2.2中第二种设计方式，为指定的Agent Skill配置OpenSandbox隔离执行环境，确保skill在安全的沙箱中运行，避免数据泄露和主机系统破坏。同时，本文提供的工具还具备扫描指定skill中的高危操作的效果。Sandbox采用的是开源的OpenSandbox项目工具。

触发词为：请为XXXXXX这个skill构建sandbox环境/sandbox配置/sandbox镜像。

其SOP过程为：

针对第3章中的skill投毒：task-exception-assistant这个skill，利用本工具会主动识别到以下问题：

所以利用本工具，可以实现：

1. Skill高危风险识别和提醒，特别是隐藏的文件读取、隐私获取；

2. 为指定Skill构建隔离的sandbox环境和镜像，严格控制其权限，避免对主机的破坏；

本工具开箱即用，支撑Openclaw等这类AI类助手工具，也欢迎基于此工具二次开发，更加适配您的场景和需求。目前本工具支持识别的内容有：

附件内容：

1. skill投毒实践skill：task-exception-assistant、qq-email-sender（需配置个人QQ邮箱账号）

2. 企业skill sandbox实践skill：huawei-contract-legal-review（示例，完整版需单独联系作者）

3. Sandbox自动化构建工具skill：skill-sandbox-configurator

参考文献：

https://code.claude.com/docs/zh-CN/sandboxing

https://www.volcengine.com/docs/86677/2129092?lang=zh 

https://help.aliyun.com/zh/cs/user-guide/agent-sandbox/ 

https://cloud.tencent.com/developer/article/2647701

https://github.com/alibaba/OpenSandbox/tree/main

*点击“阅读原文”，了解黄大年茶思屋科技网站更多精彩内容。